CVE-2024-55591: vulnerabilidad de día cero de omisión de autenticación en Fortinet FortiGate

Una vulnerabilidad crítica de omisión de autenticación en Fortinet FortiOS y FortiProxy permite que un atacante remoto no autenticado obtenga privilegios de superadministrador mediante solicitudes manipuladas al módulo WebSocket de Node.js. CVSS 9.6. Explotada por actores de amenazas desde noviembre de 2024, antes de su divulgación.

¿Qué es CVE-2024-55591?

CVE-2024-55591 es una vulnerabilidad de omisión de autenticación en el sistema operativo FortiOS de Fortinet (que utilizan los cortafuegos FortiGate) y en la puerta de enlace web FortiProxy. La vulnerabilidad se debe a una gestión incorrecta de la autenticación en el módulo WebSocket basado en Node.js de la interfaz de administración.

Un atacante no autenticado que pueda acceder a la interfaz de administración de FortiGate puede crear una solicitud WebSocket con un formato especial que omita por completo la autenticación y le otorgue acceso de superadministrador. Con este acceso, los atacantes pueden modificar las reglas del cortafuegos, crear nuevas cuentas de administrador, extraer credenciales de VPN y desplazarse lateralmente hacia segmentos de red protegidos.

Productos afectados

Análisis técnico

La interfaz de administración de FortiOS expone una interfaz web y una API en el puerto 443 (y, en ocasiones, en el 8443). El módulo WebSocket de Node.js que gestiona determinadas funciones de administración en tiempo real contiene una comprobación de autenticación que puede omitirse enviando solicitudes con una combinación específica de encabezados manipulados que el middleware de autenticación interpreta incorrectamente como ya validados.

# Estructura de la solicitud de prueba de concepto (depurada)
GET /api/v2/cmdb/system/admin HTTP/1.1
Host: fortigate.target.com
Upgrade: websocket
Connection: Upgrade
X-Forwarded-For: 127.0.0.1
[encabezados manipulados para omitir la autenticación]

# Una omisión correcta devuelve acceso completo a la API de administración
HTTP/1.1 200 OK
{"results": [{"name":"admin","accprofile":"super_admin",...}]}

Actividad observada después de la explotación

Arctic Wolf y los equipos de respuesta a incidentes de Fortinet documentaron patrones coherentes de actividad posterior a la explotación:

• Creación de nuevas cuentas de administrador locales (a menudo cadenas aleatorias de 6 a 8 caracteres)
• Adición de portales SSL VPN controlados por atacantes a la interfaz de administración
• Modificación de la configuración de túneles VPN para permitir túneles divididos hacia redes corporativas
• Exportación de las configuraciones de las políticas del cortafuegos para enumerar la topología de la red interna
• Instalación de acceso persistente mediante una configuración de arranque modificada

Detección

Revisión de registros de FortiGate

# Comprobar la creación inesperada de cuentas de administrador
get system admin | grep -A5 "edit "

# Revisar eventos de inicio de sesión recientes en busca de anomalías
execute log filter category 1
execute log filter field action login
execute log display

# Comprobar adiciones no autorizadas de portales VPN
show vpn ssl settings | grep -i "tunnel-mode\|host\|realm"

Indicadores de compromiso

• Cuentas de administrador con nombres de aspecto aleatorio (p. ej., Gujd, Trca)
• Nuevos portales VPN añadidos a la configuración de SSL VPN
• Cambios inesperados en las políticas del cortafuegos registrados en los logs
• Conexiones WebSocket a endpoints /api/v2/ sin autenticación previa

Mitigación

1. Aplique los parches de inmediato: actualice a FortiOS 7.0.17+, 7.2.11+ o FortiProxy 7.0.20+, 7.2.13+
2. Deshabilite el acceso de administración mediante HTTP/HTTPS: utilice config system interface / set allowaccess ping ssh y elimine https de las interfaces expuestas a internet
3. Restrinja el acceso de administración por IP de origen: utilice la configuración de hosts de confianza para limitar la administración a direcciones IP específicas de los administradores
4. Audite las cuentas de administrador: elimine cualquier cuenta inesperada y cambie todas las credenciales de administrador
5. Revise la configuración de VPN: compruebe que no se hayan añadido portales ni túneles no autorizados
6. Habilite el registro en el SIEM: asegúrese de que todos los eventos de administración se reenvíen al sistema de registro centralizado

Capacidad de detección de KENSAI

• Detección de exposición externa: KENSAI identifica interfaces de administración de FortiGate expuestas a internet y señala los rangos de versiones vulnerables a CVE-2024-55591
• Sondeo seguro de autenticación: una prueba no destructiva confirma la omisión de autenticación sin crear cuentas ni modificar configuraciones
• Inventario de activos: mapeo integral de todos los dispositivos Fortinet en su superficie de ataque
• Indicadores de compromiso: detección de IOC posteriores a la explotación mediante la integración del análisis de registros
• Validación de la remediación: un nuevo análisis automatizado confirma la aplicación de los parches y la restricción de la interfaz de administración